La relazione speciale 19/2026 della Corte dei conti europea solleva una questione che riguarda direttamente le imprese impegnate negli adempimenti NIS2: che cosa accade alle informazioni dopo l’invio della segnalazione. La direttiva disciplina riscontri e passaggi fra autorità, con garanzie per la riservatezza e gli interessi commerciali.
Per valutarne il funzionamento occorre seguire gli avvisi fino ai destinatari che possono usarli, distinguendo la cooperazione durante un incidente dalla successiva raccolta di statistiche. Un fornitore comune può collegare eventi inizialmente separati; riconoscere quella dipendenza richiede informazioni tecniche confrontabili e la possibilità di correggere le prime ipotesi. Su questi passaggi si può misurare il contributo della rete europea alla protezione dei servizi.
Indice degli argomenti
Cooperazione europea NIS2 dopo l’invio della segnalazione
Mentre i tecnici cercano di contenere un incidente, chi prepara il preallarme NIS2 lavora spesso con un quadro ancora provvisorio. Una parte del servizio è ferma, il fornitore sta verificando e la causa indicata nella prima telefonata potrebbe cambiare entro sera. La ricevuta del portale conferma almeno un fatto: la segnalazione è stata trasmessa.
Per l’impresa è un passaggio rilevante, sul quale si concentrano procedure e responsabilità. Quello stesso invio, però, potrebbe contenere il primo elemento utile a riconoscere un problema che coinvolge altre organizzazioni in un altro paese; da quel momento il suo valore dipenderà anche da chi lo riceve e dal seguito che riuscirà a dargli.
La relazione speciale 19/2026 della Corte dei conti europea, pubblicata il 21 settembre 2026, permette di esaminare questa parte del percorso. L’audit, relativo al periodo 2022–2025, giudica solo parzialmente efficace il contributo delle azioni europee alla rilevazione e alla risposta agli incidenti, richiamando ritardi di attuazione e limiti nello scambio di informazioni. Fra gli episodi considerati compare l’attacco del settembre 2025 a Collins Aerospace, con conseguenze sui sistemi di gestione dei passeggeri negli aeroporti.
Secondo la Corte, nessuno degli Stati membri interessati aveva formalmente notificato l’evento a ENISA o agli altri Stati membri. Il rilievo riguarda quel passaggio istituzionale: non prova che siano mancate notifiche nazionali delle imprese o comunicazioni informali. Né un audit su quel periodo descrive automaticamente lo stato attuale di ogni capacità nazionale.
Resta una domanda sulle aspettative che accompagniamo agli obblighi delle imprese. Se chiediamo loro di riconoscere un evento significativo e descriverlo entro tempi stretti, dovremmo poter verificare con altrettanta cura che cosa avvenga una volta ricevuti quei dati.
L’adempimento del notificante rimane dovuto secondo la disciplina applicabile, anche quando la cooperazione incontra difficoltà; proprio per questo, valutarne gli esiti istituzionali evita che tutto il giudizio si esaurisca nella puntualità di chi ha premuto «invia». Per l’operatore ancora inconsapevole di essere esposto, una segnalazione ha utilità quando diventa un’informazione sulla quale intervenire. Una ricevuta tempestiva può precedere un avviso tardivo, e i due risultati meritano di essere osservati separatamente.
Preallarme, notifica e aggiornamenti dell’incidente
Nella direttiva NIS2 il passaggio fra queste attività è già disciplinato. L’articolo 23 prevede, nella scansione ordinaria e fatte salve le specificità applicabili, un preallarme entro 24 ore e una notifica entro 72 ore dalla conoscenza dell’incidente significativo.
Attraverso il recepimento nazionale e gli atti pertinenti, questa sequenza organizza un’informazione che si arricchisce durante l’indagine. Il rapporto iniziale deve dunque poter essere incompleto senza diventare indecifrabile: un dato osservato e un’ipotesi vanno presentati con il rispettivo grado di certezza. Se nelle prime ore l’impresa sa soltanto che il servizio dipende da un determinato componente, quella dipendenza può essere comunicata senza attribuire al suo produttore la causa del guasto.
Nel frattempo potrebbero arrivare informazioni che modificano l’estensione dell’evento. Un’anomalia creduta locale può riguardare clienti di più paesi; un sospetto di compromissione può essere ridimensionato dalle verifiche. Conservare la cronologia degli aggiornamenti permette di sapere quando questi elementi erano disponibili e a chi.
Se il portale mostra soltanto l’ultima versione, una parte del percorso scompare; se le mostra tutte senza chiarire quale sia stata superata, qualcuno potrebbe continuare a lavorare su una stima ormai corretta. Sono scelte apparentemente modeste nell’organizzazione di una piattaforma, dalle quali dipende la possibilità di valutare sia la tempestività del notificante sia quella di chi avrebbe dovuto riconoscere un impatto più ampio.
Dalla notifica NIS2 agli altri Stati membri
A chi ha appena inviato il preallarme l’articolo 23, paragrafo 5, riserva una previsione spesso meno discussa delle scadenze: il CSIRT o l’autorità competente fornisce un riscontro iniziale senza indebito ritardo e, ove possibile, entro 24 ore dal ricevimento. Su richiesta del soggetto può fornire orientamenti o consulenza operativa sulle misure di mitigazione.
La disposizione non garantisce che l’incidente venga risolto entro un giorno e non affida all’autorità tutta l’indagine forense dell’impresa. Consente però di impostare il rapporto come uno scambio nel quale il notificante può porre un problema circoscritto e ricevere un aiuto pertinente. Chiedere se una misura ipotizzata sia adeguata alla tecnica osservata offre al destinatario qualcosa di più utilizzabile di una generica richiesta di supporto.
Quando l’incidente significativo riguarda almeno due Stati membri, il paragrafo 7 prevede che il CSIRT, l’autorità competente o il punto di contatto unico informi senza indebito ritardo gli altri Stati interessati e ENISA. Nel farlo devono essere protetti sicurezza e interessi commerciali del soggetto, insieme alla riservatezza delle informazioni. Non si tratta quindi di inoltrare automaticamente l’intero fascicolo aziendale. Può essere necessario estrarre gli elementi utili al destinatario, mantenendo ristretto l’accesso ad altri dettagli. Questa selezione richiede una capacità operativa: qualcuno deve capire quali informazioni permettano di riconoscere l’esposizione altrui e quali, invece, aggiungano soprattutto un rischio di divulgazione.
Correlare gli incidenti senza trasformare ipotesi in fatti
Il lavoro si complica se nessun notificante conosce ancora la dimensione transfrontaliera del caso. Immaginiamo due ospedali in Stati diversi, uno alle prese con il sistema di prenotazione e l’altro con l’autenticazione. È un esempio ipotetico: le anomalie sembrano diverse, ma potrebbero dipendere dallo stesso componente.
Ciascun ospedale vede il proprio servizio e potrebbe ignorare la dipendenza dell’altro. Chi mette a confronto le informazioni ha la possibilità di formulare una correlazione che nessuno dei due avrebbe saputo dimostrare da solo. Pretendere che l’impatto internazionale sia già accertato in ogni avviso iniziale renderebbe più difficile scoprirlo proprio nei casi in cui la cooperazione serve maggiormente.
Formulare quella correlazione richiede comunque prudenza. Due eventi contemporanei possono avere cause indipendenti e un software molto diffuso può comparire in numerosi incidenti senza averli provocati. Per questo l’identificativo del componente e la versione effettivamente usata sono più informativi di un nome commerciale generico; anche l’orario deve essere confrontabile e l’attendibilità degli indicatori deve accompagnarne la trasmissione.
Una volta smentita l’associazione, occorre raggiungere chi l’aveva ricevuta. Altrimenti una pista iniziale continua a circolare come fatto acquisito, mentre gli investigatori che l’hanno scartata lavorano già su altro. La qualità dello scambio comprende dunque la capacità di correggerlo, con la stessa attenzione dedicata all’invio del primo allarme.
Dai CSIRT a EU-CyCLONe, i livelli del coordinamento
A seconda degli effetti, il caso potrà richiedere livelli diversi di coordinamento. La rete dei CSIRT dell’articolo 15 sostiene la cooperazione tecnica; EU-CyCLONe, prevista dall’articolo 16, interviene nel coordinamento operativo degli incidenti su vasta scala e delle crisi.
La definizione dell’articolo 6 considera una perturbazione che superi la capacità di risposta di uno Stato membro oppure un impatto significativo su almeno due Stati membri. La presenza di utenti in diversi paesi non risolve da sola questa qualificazione. Serve capire quanto sia grave la conseguenza sui servizi, perché il problema di individuare un componente compromesso può diventare quello di gestire indisponibilità simultanee in settori dai quali dipendono molte persone.
Le relazioni sintetiche trimestrali con dati anonimizzati e aggregati, previste dal paragrafo 9 dell’articolo 23, permettono invece di esaminare tendenze e frequenze. Sono utili anche per orientare risorse e priorità, ma non ci dicono, da sole, se il secondo ospedale abbia ricevuto in tempo l’avviso necessario a proteggersi. Una rete può produrre statistiche complete e incontrare difficoltà nello scambio durante l’emergenza. Per giudicarla occorre seguire entrambe le attività, ciascuna rispetto allo scopo per cui è stata prevista, senza chiedere a un riepilogo trimestrale di dimostrare la tempestività di un intervento avvenuto in poche ore.
Informazioni NIS2 tra condivisione, riservatezza e interessi commerciali
L’impresa che comunica il nome di un componente sospetto sa che quella notizia può danneggiare il rapporto con il fornitore se viene ripetuta come un’accusa. Nei log potrebbero inoltre comparire clienti o configurazioni utili a un aggressore. Sono preoccupazioni ragionevoli, delle quali la progettazione dei canali di cooperazione deve tenere conto.
Aumentare la quantità dei dati trasmessi senza chiarirne gli usi può rendere il notificante più difensivo; nel rapporto iniziale finiranno allora formule prudenti, ma poco informative. Specificare che una dipendenza è accertata mentre il suo ruolo causale resta da verificare permette di comunicare qualcosa di utile senza anticipare una conclusione. Quella precisazione dovrà sopravvivere anche quando il dato viene copiato in un altro sistema.
Gli accordi di condivisione volontaria previsti dall’articolo 29
Accanto ai flussi obbligatori, l’articolo 29 della NIS2 disciplina accordi di condivisione volontaria di informazioni pertinenti, alle condizioni previste. Una comunità settoriale può così scambiarsi indicazioni sulle minacce e sulle tecniche osservate, mentre i singoli soggetti adempiono separatamente agli obblighi di notifica degli incidenti significativi. Per chi partecipa, sapere chi può leggere e ritrasmettere il materiale conta quanto disporre di un canale rapido.
Anche il ritiro di un allegato condiviso per errore deve avere una procedura: cancellarlo dal portale non ne elimina le copie già ricevute. Occorre poter avvisare i destinatari e documentare la correzione, altrimenti l’accordo governa l’ingresso delle informazioni e lascia senza risposta ciò che accade dopo.
GDPR e sicurezza nazionale nei flussi informativi
Se quei dati riguardano persone identificabili, la finalità difensiva non li sottrae automaticamente al GDPR. Il considerando 49 riconosce l’interesse alla sicurezza delle reti e dell’informazione; per il trattamento concreto restano da individuare una base giuridica appropriata e una comunicazione necessaria e proporzionata.
In alcuni casi la descrizione di una tecnica può essere depurata dai nominativi. In altri, per verificare un accesso, un dato identificativo sarà indispensabile e dovrà essere trasmesso a un destinatario abilitato attraverso un canale ristretto. Mandare lo stesso fascicolo all’autorità competente, al consulente forense e a un gruppo ampio di operatori ignorerebbe le diverse funzioni di chi lo riceve.
Le salvaguardie per gli interessi di sicurezza nazionale pongono limiti ulteriori, la cui valutazione compete alle autorità interessate. Entro quei limiti può talvolta essere possibile comunicare una misura di mitigazione senza rivelare la fonte o il bersaglio specifico. Non è una soluzione disponibile in ogni caso, né un motivo per svalutare le esigenze di riservatezza. È il tipo di valutazione che dovrebbe poter avvenire attraverso procedure preparate prima dell’emergenza; negoziare da zero ogni passaggio mentre un incidente si estende rende più difficile distinguere il dettaglio che va protetto da quello che aiuterebbe altri a difendersi.
Assistenza, vigilanza e rettifica delle valutazioni preliminari
A questa difficoltà se ne aggiunge una interna al rapporto fra assistenza e vigilanza. Le autorità conservano i compiti previsti dalla legge e non possono promettere una generica immunità al notificante. L’organizzazione deve però comprendere come formulare e correggere una valutazione preliminare, senza che la provvisorietà venga persa nel successivo impiego dell’informazione.
La prima descrizione può essere inesatta per ragioni comprensibili, purché l’indagine proceda e l’aggiornamento venga trasmesso. Trattare ogni revisione come una contraddizione sospetta incoraggerebbe l’attesa di una certezza incompatibile con il preallarme. Conservare versioni e motivi delle rettifiche consente invece di esaminare con maggiore precisione il comportamento delle parti, comprese eventuali omissioni o ritardi.
Come misurare l’efficacia della cooperazione europea NIS2
Per valutare i risultati di questa cooperazione, il numero delle segnalazioni ricevute offre un punto di partenza limitato. Un aumento può dipendere da una platea più ampia di soggetti obbligati o da una migliore capacità di rilevazione, oltre che da più incidenti. Servono misure riferite ai passaggi che abbiamo seguito: quando l’informazione pertinente è arrivata, quando è stata resa disponibile all’autorità di un altro paese e quale seguito ha consentito.
Anche qui la definizione dei tempi conta. Un messaggio recapitato a una casella e un allarme preso in esame sono eventi diversi; registrare soltanto il primo potrebbe offrire un’immagine rassicurante di un percorso nel quale nessuno è ancora intervenuto.
Si potrebbe misurare, in forma aggregata, il tempo necessario a rendere utilizzabile un avviso oltre confine, conservando nei circuiti di controllo riservati i dettagli dei singoli casi. Sulle correlazioni sarebbe utile esaminare quante siano state confermate e che cosa abbia permesso di riconoscerle. Massimizzare il numero dei collegamenti sarebbe un obiettivo mal posto: un’associazione errata assorbe lavoro e può suggerire contromisure inutili. Per l’impresa destinataria interessa sapere se l’avviso identifica con sufficiente precisione la versione esposta e se una successiva correzione le arriverà. Talvolta basta un chiarimento tecnico breve; la lunghezza del rapporto dice poco sulla possibilità di usarlo.
Le esercitazioni oltre l’invio simulato
Le esercitazioni possono verificare questi passaggi facendo proseguire il caso oltre l’invio simulato. Un primo partecipante segnala un evento con informazioni incomplete, l’autorità chiede un chiarimento e un secondo operatore prova a individuare il proprio sistema interessato sulla base dell’avviso ricevuto.
Se la versione del componente è stata indicata in modo ambiguo, il limite emergerà nel tentativo di applicare l’informazione. Se il contatto non è presidiato, lo si scoprirà nella richiesta rimasta senza risposta. Un fornitore comune, coinvolto entro un perimetro concordato, potrà aiutare a verificare come si riconcilino denominazioni diverse dello stesso prodotto, senza rendere necessario condividere dettagli estranei allo scopo della prova.
Da una verifica del genere possono emergere problemi piccoli e costosi: un’autorizzazione all’accesso che manca proprio al sostituto del referente, un aggiornamento che non viene notificato, un allegato illeggibile dal sistema del destinatario. Risolverli richiede tempo delle persone, formazione e manutenzione dei rapporti, oltre agli strumenti. È ragionevole chiedere che queste esigenze entrino nella valutazione delle risorse dedicate alla cooperazione. Non ogni difficoltà dipende dall’assenza di una nuova piattaforma; prima di aggiungerne una conviene accertare perché l’informazione già trasmessa non sia stata impiegata e quale modifica renderebbe possibile farlo.
Nel prossimo esercizio NIS2, l’impresa potrebbe perciò conservare, accanto alla ricevuta del proprio invio, il riscontro del partecipante che ha ricevuto l’allerta derivata da quella segnalazione. Se è riuscito a identificare il componente e a verificare l’esposizione, si potrà esaminare quanto tempo è servito. Se non ci è riuscito, avremo una richiesta precisa di correzione: indicare meglio la versione, chiarire l’attendibilità della notizia o raggiungere il referente giusto. Quel documento permette di discutere la cooperazione su un esito osservato e restituisce un significato operativo alle ore che il primo notificante ha dedicato a raccogliere e comunicare i fatti.
Partecipa alla community